Salesforce में Profiles बनाम Permission Sets बनाम Sharing Rules

“Profiles बनाम permission sets बनाम sharing rules” लोगों को इसलिए उलझा देता है क्योंकि ये तीनों आपस में विकल्प नहीं हैं — ये अलग-अलग सवालों का जवाब देते हैं और साथ मिलकर काम करते हैं. Profiles और permission sets तय करते हैं कि आप किसी object के साथ क्या कर सकते हैं; sharing rules तय करते हैं कि आप उसे किन records पर कर सकते हैं. यहाँ देखें ये कैसे जुड़ते हैं.

दो-जाँच मॉडल

Salesforce में हर record एक्सेस दो स्वतंत्र जाँचों से गुज़रता है:

1. Object व field जाँच — profiles और permission sets से: क्या उपयोगकर्ता के पास object पर CRUD है, और fields पर field-level security?
2. Record जाँच — sharing मॉडल से: क्या org-wide defaults, role hierarchy, या कोई sharing rule इस विशिष्ट record को देता है?

Object permission द्वार है. Sharing तय करता है कि कौन-से records उसमें से गुज़रें. दोनों का पास होना ज़रूरी है.

यही पूरे record एक्सेस मॉडल की बुनियाद है.

Profiles और permission sets: “आप क्या कर सकते हैं”

ये object-स्तर के एक्सेस और उससे अधिक को नियंत्रित करते हैं:

• प्रत्येक object पर CRUD (Read / Create / Edit / Delete).
• Field-level security — कौन-से fields दिखाई देते/संपादित होते हैं.
• System permissions, app व tab दृश्यता, और एक्सेस को bypass करने वाली View All / Modify All.

Profile बनाम permission set

• एक उपयोगकर्ता के पास ठीक एक profile होता है — ऐतिहासिक रूप से permissions का आधार.
• एक उपयोगकर्ता के पास उसके ऊपर परत-दर-परत कई permission sets (और permission set groups) हो सकते हैं.

आधुनिक, अनुशंसित तरीका permission-set-आधारित है: profile को न्यूनतम रखें और एक्सेस permission sets के ज़रिए दें, क्योंकि profiles के बिखराव की तुलना में इन्हें सौंपना, पुनः उपयोग करना और ऑडिट करना आसान होता है. (इसके विपरीत, Roles sharing hierarchy को चलाते हैं — जो profiles से अलग एक धुरी है.)

Sharing rules: “कौन-से records”

Sharing rules object या field एक्सेस को बिलकुल नहीं छूते. ये सिर्फ़ org-wide default के ऊपर — ownership या criteria के आधार पर — record-स्तर के एक्सेस को चौड़ा करते हैं. ये hierarchy से कैसे जुड़ते हैं, यह जानने के लिए देखें sharing rules बनाम role hierarchy.

सबसे अहम बात: कोई sharing rule किसी गायब object permission को नहीं बचा सकता. Opportunities पर Read न होने का मतलब है कोई opportunity नहीं, चाहे कितने ही sharing rules उस उपयोगकर्ता की ओर इशारा करें.

जहाँ permissions sharing को ओवरराइड करती हैं

एक जगह है जहाँ ये परतें एक-दूसरे को काटती हैं: View All और Modify All (object-स्तर), और View All Data / Modify All Data (सिस्टम-व्यापी). ये sharing मॉडल को पूरी तरह bypass कर देती हैं — इन्हें रखने वाला उपयोगकर्ता OWD, hierarchy या rules की परवाह किए बिना हर record देखता है. ये इतनी शक्तिशाली हैं कि जब एक्सेस गड़बड़ लगे तो सबसे पहले इन्हीं की जाँच करनी चाहिए. देखें View All / Modify All — ध्यान देने योग्य bypass.

सब कुछ जोड़कर देखना

सवाल	किससे जवाब मिलता है
क्या उपयोगकर्ता इस object को बिलकुल खोल सकता है?	Profile / permission set (CRUD)
क्या वह यह field देख सकता है?	Field-level security
object के कौन-से records वह देख सकता है?	Sharing मॉडल
क्या वह sharing को bypass कर सकता है?	View All / Modify All

यह देखने के लिए कि कोई उपयोगकर्ता किसी record तक क्यों पहुँच सकता है या नहीं, आप दोनों धुरियों को साथ पढ़ते हैं — object/field permissions और उस record पर लागू होने वाला sharing.

दोनों धुरियों को एक साथ पढ़ना

मुश्किल यह है कि ये सेटअप के अलग-अलग हिस्सों में रहते हैं — profiles और permission sets एक जगह, sharing मॉडल दूसरी जगह — और आपको इन्हें मन में जोड़कर देखना पड़ता है. AgentForceAccess यह जोड़ आपके लिए कर देता है: पूछिए कि कोई उपयोगकर्ता किसी record के साथ क्या कर सकता है और यह object permissions, field-level security और sharing मॉडल को साथ मिलाकर ध्यान में रखता है, और ठीक-ठीक बताता है कि किस चीज़ से एक्सेस मिलता है या रुकता है.

अक्सर पूछे जाने वाले सवाल

Object access और record access में क्या अंतर है?

Object access (profiles और permission sets से) यह तय करता है कि उपयोगकर्ता किसी object को बिलकुल छू सकता है या नहीं — Read, Create, Edit, Delete — और कौन-से fields उसे दिखेंगे. Record access (sharing मॉडल) तय करता है कि उस object के कौन-से विशिष्ट records वह देख सकता है. आपको दोनों की ज़रूरत होती है.

Profiles या permission sets — मुझे किसका उपयोग करना चाहिए?

दोनों मौजूद हैं, पर आधुनिक तरीका permission-set-आधारित है: profiles को एक न्यूनतम आधार के रूप में रखें और अतिरिक्त एक्सेस permission sets तथा permission set groups के ज़रिए दें. एक उपयोगकर्ता के पास एक profile होता है पर कई permission sets हो सकते हैं, जिससे एक्सेस सौंपना और ऑडिट करना आसान हो जाता है.

क्या sharing rules object access देते हैं?

नहीं. Sharing rules सिर्फ़ record-स्तर के एक्सेस को चौड़ा करते हैं. अगर किसी उपयोगकर्ता के पास उसके profile या किसी permission set के ज़रिए किसी object पर Read permission नहीं है, तो कोई भी sharing rule उसे एक भी record नहीं दिखाएगा. Object permission द्वार है; sharing तय करता है कि उसमें से कौन-से records गुज़रें.

कोई profile किसी sharing rule को कैसे ओवरराइड कर सकता है?

View All और Modify All के ज़रिए. ये permissions — object स्तर पर, या सिस्टम-व्यापी "View All Data"/"Modify All Data" — किसी उपयोगकर्ता को sharing की परवाह किए बिना हर record देखने या संपादित करने देती हैं. ये sharing मॉडल के ऊपर बैठती हैं, इसलिए कोई permission उस चीज़ को ओवरराइड कर सकती है जिसे sharing प्रतिबंधित करता है.